A350 燃油泄漏与燃油传输相关程序梳理

目录

• 摘要
• 关键字
• 引言
• 正文
  • 1 燃油泄漏
    • 1.1 相关程序
    • 1.2 处置的基本逻辑和流程
    • 1.3 FUEL L(R) FEEDLINE BURST 说明
  • 2 燃油传输
    • 2.1 相关逻辑、程序及途径
    • 2.2 具体程序说明
      • 2.2.1 FUEL L(R) MAIN+STBY PMPs FAULT
      • 2.2.2 FUEL L(R) WING TK LEVEL LO
      • 2.2.3 燃油平衡相关程序
      • 2.2.4 FUEL CTR TK L(R) PMP FAULT
      • 2.2.5 整体逻辑图
  • 3 程序设计的探讨
    • 3.1 WING TK LEVEL LO 程序
      • 3.1.1 极端情况
      • 3.1.2 中央油箱供油
    • 3.2 TK XFR 的使用
      • 3.2.1 交输活门不工作时对使用 TK XFR 的说明较少
      • 3.2.2 燃油泄漏时能否使用 TK XFR
      • 3.2.3 FUEL L(R) FEEDLINE FURST 中使用 TK XFR 的条件
    • 3.3 FEEDLINE BURST 能否重启发动机
    • 3.4 燃油平衡程序的描述不统一
    • 3.5 程序设计的综合考虑
• 结论

摘要

总结了空客 A350 机型燃油泄漏程序和燃油传输相关程序的整体逻辑，详细分析和解释了相关不正常程序中多处疑惑点，探讨了空客不正常程序中的综合考虑因素，反思了对 SOP 的学习和应用。

关键字

燃油泄漏，燃油传输，不正常程序设计

引言

作为一名空客 A350 机长、教员，在平时的学习和带飞过程中发现不正常程序有很多设计都存在令人疑惑之处，燃油章节尤其明显。“发动机燃油泄漏到底能不能平衡燃油”，“机翼油箱泄漏能不能打开 TK XFR 来保存燃油”，“FEEDLINE BURST 为什么不能考虑重启发动机”等等问题都很无法手册中直接找到答案。空客在程序设计中综合考虑了很多技术以外的因素，但这些因素并没有明说。而在中英文文献中，几乎没有对航空器不正常程序设计的研究，在缩小到A350上，更是完全空白。

本文从 FCOM 出发，分析具体程序，总结燃油泄漏的处置逻辑，梳理燃油传输相关的逻辑、程序、传输途径等相互混杂的概念。并结合通过 TechRequest 平台与空客进行的多次沟通，解释一些手册中没有明确答案的问题，阐述不正常程序设计中技术因素以外的综合考虑。

资料来源完全出自 FCOM，以及空客 TechRequest 平台邮件交流的第一手资料 ，没有其他文献可以参考。

正文

1 燃油泄漏

1.1 相关程序

FCOM 中与燃油泄漏直接相关的程序有以下三个:

燃油和发动机系统都能探测燃油泄漏，分别触发 FUEL 和 ENG 开头的警告：

1.2 处置的基本逻辑和流程

下面以流程最长的 FUEL LEAK SUSPECTED 为例，对照 ECAM 的具体程序具体做一个说明。

整个逻辑和流程还是比较清晰的，处置起来难度不大，更多的考量其实是运行方面，尤其是 ETOPS 运行。

1.3 FUEL L(R) FEEDLINE BURST 说明

FUEL L(R) FEEDLINE BURST，也是燃油泄漏的一种情况。从名字上看，输油管路破裂，明显涉及漏油，但从触发条件却是：A feedline burst is detected if both the main pump and the standby pump in the L(R) wing tank are fail within 30 seconds.

其实同一个机翼油箱的两个油泵30秒之内相继失效，是因为油泵下游的管路破裂，压力降低导致的。所以本质上并不是油泵的问题，而是燃油泄漏。但由于不能确定是具体破裂的管道位置（油箱内部或者油箱与发动机之间），不符合上述 FUEL LEAK SUSPECTED 或者 ENG 1(2) FUEL LEAK SUSPECTED 的触发条件，所以处置逻辑也有所不同。

程序要求关闭故障一侧的两个机翼油箱泵，因为是管道的问题，不管是使用机翼油箱泵或者中央油箱泵，都无法正常供油，所以只能将其关闭，使用重力供油。同时关闭交输供油活门，避免泄漏。

关于升限，空客解释如下：燃油内部是有气泡的，在没有燃油泵增压的情况下，气泡会形成阻力，影响供油的均匀性，从而影响发动机稳定运转。随着高度增加，外部气压降低，燃油中的气泡才能逐渐排出。所以如果在 FL300 以上飞行30分钟以后，气泡含量较低，重力供油升限就可以达到 FL200，否则就需要降到 FL80。

如果故障侧的发动机由于供油不稳定而停车了，要等到另一侧机翼油箱小于18000kg后才能接通故障侧的 TK XFR，让机翼油箱燃油靠重力从加油管路传输到中央油箱，供给另一侧发动机。

2 燃油传输

2.1 相关逻辑、程序及途径

燃油传输是一个很宽泛的概念，正常的供油逻辑是一侧机翼油箱泵或中央油箱泵供同侧发动机，而在一些不正常情况下会使用其他的逻辑，主要有以下三种：

1. 一侧机翼油箱不供油，另一侧油箱和/或中央油箱供油
2. 一个中央油箱泵不工作，另一个供双发
3. 两侧机翼油箱油量差别较大，平衡燃油

这三种逻辑涉及到的程序主要有以下几个：

1. FUEL CTR L(R) PMP FAULT
2. FUEL CROSSFEED VLV A+B FAULT
3. FUEL L(R) FEEDLINE BURST
4. FUEL L(R) MAIN+STBY PMPs FAULT
5. FUEL L(R) WING TK LEVEL LO
6. FUEL WINGS NOT BALANCED
7. FUEL IMBALANCE CORRECTED
8. [ABN] FUEL WINGS MAN BALANCING

在这些程序中，燃油传输一般会通过两种途径：

1. 交输供油活门与相应的油泵配合
2. 接通 L(R) TK XFR按钮，机翼油箱燃油靠重力传输到中央油箱，再由中央油箱泵供给需要的发动机。

关于第二种途径，1.3 FUEL L(R) FEEDLINE BURST 说明的最后一部分也提到过，这里再做一些说明。

L(R) TK XFR 按钮接通，可以打开加油管路中机翼油箱和中央油箱的 INLET VALVE，机翼油箱的油会重力传输到中央油箱。这种途径一般是在交输活门不工作（故障或者被要求关闭），以及机翼油箱泵不工作的时候会用到。

把上述不正常燃油传输的逻辑、程序和途径综合起来大致如下：

注1：只要是一侧发动机不工作加上另一侧机翼油箱泄漏导致的低油面，都需要使用交输活门进行供油，不一定是非包容性故障导致的。

注2：发动机不工作的情况很多。空客在 TechRequest 中已经确认，由于发动机燃油泄漏而关车，之后就变成没有泄漏的状态，也可以进行燃油平衡。

注3：FUEL CROSSFEED VLV A+B FAULT 不便于归到上述特定一种逻辑中，因为在不需要进行燃油传输的时候，单纯的交输活门故障没有任何影响，只有伴随了其他故障才会有影响。

2.2 具体程序说明

下面分别对 2.1 中提到的几个程序逐一说明，重点关注燃油传输的逻辑和流程，不涉及全部细节。FUEL L(R) FEEDLINE BURST 参见上述 1.3 部分。

2.2.1 FUEL L(R) MAIN+STBY PMPs FAULT

触发条件有两个：一侧机翼油箱的两个燃油泵都故障，或者不正常选择关闭。所谓不正常选择关闭，是指在其他不正常程序中被要求关闭，比如燃油平衡程序中都需要关闭一侧的两个油泵。

在具体程序中会发现，这个程序基本上是针对两个燃油泵都故障来处置的，由于其他程序而不正常选择关闭时并不需要执行下面的动作，否则就与其他程序冲突了。

根据中央油箱是否为空，程序分为两个部分。如果没油，则打开交输活门，靠另一侧的燃油泵给双发供油，先保证发动机不停车。然后再常规性的判断是否有燃油泄漏，有的话执行燃油泄漏程序，没有的话需要打开故障一侧 TK XFR，让机翼油箱的油进入中央油箱，把这部分油利用起来。当中央油箱油量增加之后，或者一开始中央油箱就有油，则执行有油的程序，即用中央油箱给双发供油。

2.2.2 FUEL L(R) WING TK LEVEL LO

触发情况有两种，一是耗油到低油面，二是机翼油箱泄漏。当一侧机翼油箱低于1600kg，低油面传感器为干时，触发该警告。

耗油到低油面大概有两种发生的场景，一是由于运行和决策原因导致严重耗油，比如目的地机场天气不好，等待时间过长，去第一备降场结果没有机位，在去第二备降场的途中出现低油面。第二种也是由于运行和决策导致耗油较多，同时当两侧机翼油箱都低于 4600kg 时出现了单发。由于 FUEL WINGS NOT BALANCED 警告的触发条件是 FQMS 探测到两侧机翼油箱油量差大于3000kg，或者一侧高油面传感器（18000kg）为湿另一侧中油面传感器（4500kg）为干。所以如果机组后续忘了平衡燃油，当工作发动机一侧油箱油量低于1600kg时，会先触发 FUEL L(R) WING TK LEVEL LO，而不是先出现 FUEL WINGS NOT BALANCED。更极端的情况，如果在两侧机翼油箱都低于3000kg时出现单发，则后续根本触发不了 FUEL WINGS NOT BALANCED 警告。

与触发原因相对应的，程序也就分为两个部分。

第一部分，正常耗油到低油面，没有触发燃油泄漏警告。即便如此也需要人工确认是否泄漏，如果没有泄漏，则打开交输活门，目的是尽量保持双发运转，避免一侧油箱先用完而关车。

第二部分，已确认机翼泄漏。[ABN] FUEL LEAK 和 FUEL LEAK SUSPECTED 程序中，如果确认机翼油箱泄漏，程序里会有“Expect FUEL L(R) WING TK LEVEL LO”的描述，也就是对应这里的第二部分。根据泄漏情况，又分为两种情况：If the L(R) wing leak is due to an engine 2(1) rotor burst，以及 Other cases of the L(R) wing leak。

L(R) wing leak is due to an engine 2(1) rotor burst 是一种非常极端的情况。首先，小字部分提到的 “uncontained engine rotor burst”，非包容性发动机转子破裂，是指转子碎片把发动机机匣打穿了。飞出的碎片可能损坏其他部件，比如油箱、液压管路、起落架等等。

其次，需要注意的是，这部分提到的一侧机翼油箱泄漏是由于另一侧发动机非包容性破裂造成的。对于这种很难想象出什么场景下会发生的事件，空客在 TechRequest 中是这样解释的：我们确认“If the L(R) wing leak is due to an engine 2(1) rotor burst”这个条件是正确的，这是考虑到起飞过程中发动机转子破裂，碎片经地面反弹导致另一侧机翼油箱受损，虽然这很难发生。所以，这就造成了一侧发动机失效，另一侧机翼油箱泄漏的状况。机翼油箱泄漏的一般原则是不能交输供油，避免进一步泄漏。但在这个状况下，如果不交输，工作发一侧的油箱漏完后，就会面临双发失效，所以只能交输供油。

第二种，Other cases of the L(R) wing leak，也就是绝大多数的情况。程序要求使用中央油箱供给泄漏一侧的发动机，保持双发运转。可以看到，在机翼油箱泄漏的情况下，面临同样可能会泄漏的风险，不能使用交输供油，但可以使用中央油箱。这是对燃油泄漏和单发的综合考虑，在第三章会详细讨论。

2.2.3 燃油平衡相关程序

燃油平衡相关程序包括 FQMS 探测到不平衡所触发的 FUEL WINGS NOT BALANCED，执行程序之后重新平衡后触发的 FUEL IMBALANCE CORRECTED，以及机组发现不平衡后使用的非 ECAM 感应程序 [ABN] FUEL WINGS MAN BALANCING。基本上，前两个 ECAM 感应程序合起来就是最后一个非感应程序。

燃油不平衡的原因主要是单发或者燃油泄漏。绝大多数情况是不能做燃油平衡的，以避免造成更多的不必要泄漏。但如果是确认是发动机泄漏，依据 ENG 1(2) FUEL LEAK SUSPECTED 警告的触发条件“A fuel leak between the fuel flow meter and the combustion chamber is detected”，说明泄漏部分在 fuel flow meter 的下游，也就是在 HP Fuel Valve 的下游。按程序关车之后，HP Fuel Valve 关断，下游的泄漏就停止了，此时可以进行平衡。所以在燃油泄漏程序中，只有在机翼油箱泄漏的情况下，有文字要求“WINGS: DO NOT BALANCE”。这一点，也通过 TechRequest 得到了空客的证实。

另外，由于地面等待时间过长，APU耗油过多也会导致燃油不平衡。一般来说应该在地面处理，但很可能迫于时间压力会带着不平衡起飞，那么在空中也可以使用 [ABN] FUEL WINGS MAN BALANCING 来平衡燃油。

逻辑也很好理解，基本就是如果没有泄漏，就是打开交输活门，关闭油多一侧的机翼油箱泵，保持油少一侧的机翼油箱泵接通，等平衡之后，接通之前关闭的机翼油箱泵，关闭交输供油。而在地面则可以使用机腹上的加油面板来操作燃油平衡的传输。

2.2.4 FUEL CTR TK L(R) PMP FAULT

程序的逻辑比较简单，就是关闭故障的那个中央油箱泵，同时人工打开交输供油活门，用剩下的一个中央油箱泵给双发供油。

2.2.5 整体逻辑图

把上述不正常程序的逻辑图合并起来，可以形成以下的整体逻辑图。与本文重点一致，这些逻辑图仍然是关注燃油传输的逻辑和流程，不涉及全部细节。

3 程序设计的探讨

前两章尽可能的对燃油泄漏和不正常燃油传输相关的情况进行了梳理。但会发现，除了故障情况、触发警告、处置方案以及传输途径之间存在相互交叉组合的复杂关系，在一些具体程序中，也存在一些空客没有明确写出，从而容易引发机组疑问的内容。这些疑问，基本上我们都通过 TechRequest 与空客进行过交流，有的解释比较令人信服，有的则略显敷衍。下面，就先对这些程序中的疑问进行逐一探讨，然后再来整体审视程序设计需要综合考虑的因素、仍然存在的一些局限，以及作为机组应该如何看待和使用空客的 SOP。

3.1 WING TK LEVEL LO 程序

3.1.1 极端情况

这个程序中空客提出了一种极端情况，即起飞过程中一侧发动机非包容性故障，碎片经过地面反弹导致另一侧机翼油箱泄漏，从而需要在泄漏的情况下使用交输活门传输燃油，避免双发失效。但其实重点并不在于原因，而在于“一侧发动机不工作加上另一侧机翼油箱泄漏”的结果，以及“只有使用交输供油来避免双发失效”的处置方案。其他原因，比如一侧发动机包容性故障关车加上另一侧机翼油箱泄漏也会造成同样的结果。

程序中将条件描述具体到“If the L(R) wing leak is due to an engine 2(1) rotor burst”，我认为在其他原因导致上述结果的情况下，会误导机组，从而无法执行打开交输活门的操作，导致双发失效。所以写作更加通用的“If L(R) wing leak while engine 2(1) not running”更合适。

空客在回复中确认了确实只要一侧单发加上另一侧燃油泄漏都需要打开交输活门，但认为除了非包容性失效在起飞时反弹地面这种原因，其他原因的概率更小，所以仍然保持当前描述。

3.1.2 中央油箱供油

按照通用原则，机翼油箱泄漏不能接通交输供油活门，因为无法确定具体的泄漏位置。如果使用没有泄漏一侧的油来供给泄漏侧的发动机，虽然可以保持双发运行，但交输过程中也可能继续泄漏。如果泄漏速度过快，那么双发运行的时间会低于单发运行的时间，风险会更大，且无法承受。

WING TK LEVEL LO 程序中，在确定机翼油箱泄漏的情况下，如果是"Other cases of the L(R) wing leak"，程序要求使用中央油箱来向泄漏侧发动机供油。但是这也就存在上述交输供油同样的风险，即中央油箱的油可能泄漏掉一部分。那么为什么还要去供给泄漏侧发动机，而不是留着供给另一侧呢？空客的解释是，如果中央油箱有油，说明没有泄漏的一侧机翼油箱基本是满的，可以满足绝大多数的备降。双发运行能够维持的高度更高，燃油里程更大，空速更快，同时能保证更多飞机系统的运转。所以，尽管存在泄漏的风险，在一侧机翼油箱满油的情况下，使用中央油箱来尽可能的保持双发工作是更有利的选择。

那么，是否可以在中央油箱供油期间，通过对比一定时间（比如30分钟）内中央油箱减少的油量与泄漏侧发动机消耗的油量，来判断供油管道是否存在泄漏呢？如果两者一样，说明泄漏的只是机翼油箱，供油管道是完好的。那是否可以在中央油箱用完之后，打开交输活门，使用未泄漏一侧的机翼油箱来给双发供油呢？这样即没有泄露风险，也能继续保持双发运行。对于这个问题，空客认为过于复杂，会增加机组工作负荷。而且由于中央油箱有油的情况下，泄漏的一侧机翼油箱基本是满的，备降的时间压力并不是很大。所以不需要进行这种对比和判断。

3.2 TK XFR 的使用

如 2.1 部分所说，TK XFR 一般是在交输活门不工作（故障或者被要求关闭），以及机翼油箱泵不工作的时候，可以将原本无法利用的机翼油箱的油传输到中央油箱再去利用。关于 TK XFR 的使用，有以下两个方面的问题。

3.2.1 交输活门不工作时对使用 TK XFR 的说明较少

前两章提到的燃油泄漏和燃油不正常传输相关程序中，很多都需要打开交输活门，如果叠加 FUEL CROSSFEED VLV A+B FAULT，上述程序大多无法完成。但是这些程序中并没有对交输活门是否工作进行判断。换句话说，没有提到如果交输活门不工作，是否可以换个备用方案，使用 TK XFR（当然并不是所有交输活门不工作的时候都可以使用 TK XFR）。

FUEL CROSSFEED VLV A+B FAULT 程序中，也只提到了当一个发动机不工作时，应该接通同侧的 TK XFR。在其他情况下，只有 "Crew awareness"。

而除了发动机不工作，还可能有一些叠加故障的场景：

场景1。地面等待时间较长，APU耗油导致两侧机油油箱油量差3吨以内，机组发现较晚，在时间压力下带着不平衡起飞了。空中想执行 [ABN] FUEL WINGS MAN BALANCING 来平衡燃油，但出现了 FUEL CROSSFEED VLV A+B FAULT 警告。那么是否可以通过 TK XFR 将较多一侧的机翼油箱的油传输一部分到中央油箱从而达到燃油平衡呢？

场景2。左侧发动机包容性故障关车，同时右侧机翼油箱泄漏，后续触发 FUEL R WING TK LEVEL LO，也就是上面提到过的极端情况。如果再叠加一个 FUEL CROSSFEED VLV A+B FAULT，那是否也可以通过 L TK XFR 将左侧的机翼油箱的油传输到中央油箱，再通过 CTR TK R PMP 向右发供油呢？

场景3。假设因为二次备降严重耗油，而不是燃油泄漏的原因，出现 FUEL L(R) WING TK LEVEL LO。之前还出现了 FUEL CROSSFEED VLV A+B FAULT，所以无法使用交输活门来避免单发失效。那能不能打开两侧的 TK XFR，并人工接通 CTR TK FEED呢？这样也可以确保一侧油箱完全没油之后，还可以通过中央油箱泵来供油。

场景1发生的概率较高，严重性低，场景2发生的概率较低，严重性高。风险值=概率×严重性，两者都不高。这可能是空客在这些程序中并没有写明可以使用 TK XFR 的原因。但是场景3其实和 FUEL CROSSFEED VLV A+B FAULT 程序中写的单发叠加两个交输活门故障的风险值差不多，所以貌似又不是按照风险值来决定写不写的。所以同样是 "Crew awareness" ，在不同程序中含义差别会很大，大部分可能是”没什么影响不需要写“，但这里很可能是”太多了不好写“。

3.2.2 燃油泄漏时能否使用 TK XFR

机翼油箱泄漏时，不能进行燃油传输，但当油量低到触发 WING TK LEVEL LO 之后，如果中央油箱还有油，可以用来供泄漏侧的发动机，尽量保持双发运转。那为什么不在泄漏程序中确认机翼油箱泄漏之后，就使用 TK XFR 来传输一部分燃油到中央油箱，减少泄漏的量呢？

这个问题来来回回问了三次，前两次的回答都不令人满意，甚至出现明显的错误。最后的回答说服力其实也不是很强，但勉强可以拿来讨论。

空客认为，从理论上讲很难出现大量燃油的直接泄漏，实际运行种也没有出现过这样的事件，所以考虑到燃油的可用的途径，最好还是保留在机翼油箱。因为这样可以通过机翼油箱油泵供油、重力供油，最后还可以传输到中央油箱通过中央油箱泵供油。但如果已经传输到了中央油箱，就只能通过中央油箱泵供油，可用途径就减少了。假设再伴随一些 MEL, 比如一个中央油箱泵不可用，当遇到另一个中央油箱泵也故障时，这部分油就彻底不可用了。

这个解释提供了另外一种考虑问题的视角，即保留更多使用途径。这样做有好处也有风险，但空客并没有说明是否针对不同的故障情况评估过风险值。是在所有情况下，不使用 TK XFR 的风险值都小于使用，还是可以根据情况来选择。毕竟上述例子中两个中央油箱泵又都坏掉的概率也是相当的低，说服力实在有限。

鉴于再多次沟通中，由于语言表达的一些障碍、关注点不完全统一、以及空客对某些细节不愿意把话说死的习惯，我不准备再去证实。但这已经让我了解了空客在程序中的考量，如果在实际飞行中真的遇到燃油泄漏，能够给决策提供更多的支持。具体地说，在燃油泄漏速率过快，或者剩余燃油已经非常紧张的情况下，我认为使用 TK XFR 尽量保存燃油时更好的选择。

3.2.3 FUEL L(R) FEEDLINE FURST 中使用 TK XFR 的条件

如果 R(L) 发动机因为FEEDLINE BURST 关车，可以使用 L(R) TK XFR 把燃油传输到中央油箱，再通过 CTR TK R(L) PMP 供给 R(L) 侧发动机。这是一个很合理的逻辑，但为什么要等到 L(R) 侧机翼油箱，也就是没有 BURST 一侧的油量低于18000kg时才开始传输呢？

18000kg是高油面传感器的阈值，与之相关的警告一般有以下几个：

1. 一侧机翼油箱油量减少到低于18000kg时，如果中央油箱还有油，则触发 FUEL AUTO FEED FAULT，但这个程序与 FUEL FEEDLINE BURST 要求的动作会有冲突，比如两个中央油箱泵打开。
2. FUEL WINGS NOT BALANCED 的触发条件除了不正常程序中写的 FQMS 探测到两侧机翼油箱差大于3000kg，还有一种：一侧油箱的高油面探测器为湿（大于18000kg），另一侧中有面探测器为干（小于4500kg）。这个在 DSC-28-60 A ERRONEOUS DETECTION OF FUEL IMBALANCE 中有提到，在机务的 AMM 中也有说明
3. 燃油平衡程序中会有注释，如果一侧以及油箱大于18000kg，另一侧小于5000kg，LDG PERF AFFECTED

空客回复说，FUEL FEEDLINE BURST 中的 18000kg 的选择与上述几种情况都没有关系，只是因为空客认为大于18000kg 足以满足备降需求，无需传输到中央油箱，以减少机组工作负荷。这个值与 ETOPS 的时间也没有关系。同时，如果触发了 FUEL FEEDLINE BURST，FUEL AUTO FEED FAULT 会被抑制，所以不存在程序冲突的问题。

3.3 FEEDLINE BURST 能否重启发动机

如1.3 部分所说，由于燃油中有气泡，为了保证重力供油的稳定性，需要下降高度。而 BURST 一侧的发动机有可能在下降过程中停车，所以程序中有”EXPECT ENG1(2) FLAME OUT“字样。那么到达重力供油升限之后，能否重启发动机呢？程序里是明确禁止的，”ENG 1(2) DO NOT RESTART“，空客在 Tech Request 中回复也明确了，就算到达重力供油升限之后，也不能重启发动机。

但是，在 A330 的 FUEL ENG 1(2) FEEDLINE BURST 程序中，就可以考虑重启发动机。而且也经过机务确认，他们在A330上的试验，地面使用重力供油是可以成功启动发动机的。

对于这个问题，空客回复说，A330和 A350的油箱结构不同，A330 从外侧油箱向内侧油箱重力传输比较复杂，需要飞机保持一个坡度，相比之下，重启是更方便的选择。A350可以更容易地将机翼油箱的油重力传输到中央油箱，所以，让另一台发动机去使用则是更方便的选择。

3.4 燃油平衡程序的描述不统一

不管是 FQMS 触发的 FUEL WINGS NOT BALANCED 程序，还是机组人工激活的 [ABN] FUEL WINGS MAN BALANCING 程序，其中平衡燃油的逻辑是一样的：关断中央油箱泵和油少的一侧机翼油箱泵，打开交输供油，让双发都是用油多一侧的机翼油箱，等平衡后，再恢复正常供油。

但这两个程序中，关于中央油箱泵何时关闭的描述有一点不同（完整程序可以参考第一章）。[ABN] FUEL WINGS MAN BALANCING 程序中，关闭两个交输活门之后直接就要求关闭两个中央油箱泵：

而在 FUEL WINGS NOT BALANCED 程序中，需要判断中央油箱有油才需要关闭两个燃油泵：

我认为后者更合理。

空客在 TR 中的解释是，当中央油箱为空时，非感应程序虽然会显示 CTR TK L(R) PMP….OFF 这两行，但不是蓝色，而是灰色，表示已经完成。至于为什么这样设计，并不清楚其中原因。

3.5 程序设计的综合考虑

从上述程序的介绍和对其中存在的疑问与空客沟通的结果中可以发现，不正常程序的很多细节都是多种因素综合考虑的结果，或者说是相互妥协取平衡的结果：

如 3.2.1 中所说，风险值=概率✖严重性。在设计程序的时候，因为无法预知实际出现的情况中哪个因素影响最大，所以采取评估不同因素的风险值，取风险最小的方式。但当实际问题出现时，影响最大的因素很可能就确定了，那么此时，这个因素的概率就是100%，它的风险值就会远高于其他因素（某些因素由于没有影响，概率为零，甚至完全没有风险）。所以这种情况下，预先设计好的程序就不一定是最佳程序，虽然照做也不会有太大问题，但如果机组理解程序设计中的考虑，那么是有可能做出更好选择的。

SOP 的设计理念是制定一套标准，让不同文化背景、不同经验水平、不同学习能力的飞行员，只要严格执行，都能够在绝大概率上避免发生不安全事件。所以，SOP 并不是一个高标准的要求，而只是一条保底的线。从低级别副驾驶到成熟机长再到资深教员，会逐步经历执行 SOP，理解 SOP，超越 SOP 的过程。哈德逊河成功迫降的萨利机长启动 APU 的动作，就是一个典型的超越 SOP 的行为，甚至带来了空客修改 SOP 的结果。这是对机型理论的深入理解和思考才能做到，也正因为这样，才能创造奇迹。

结论

本文通过对燃油相关不正常程序的梳理，总结出了有关 A350 机型燃油泄漏和燃油传输的整体逻辑框架。经过多次与空客的沟通，也基本解释了相关程序中众多的疑惑点。通过对这些疑惑点的分析，阐述了空客在程序设计中综合考虑的因素，以及对 SOP 的学习和应用更加全局的看法。

当前正面临空客新的检查单、SOP 和简令的应用，其核心理念就是让检查单和简令更加关注关键的威胁与差错，而非常规的 SOP 流程。空客反复强调，在执行好 SOP 的基础上，应该始终保持开放的心态（open-mind）和突破框架的思维（out-of-the-box consideration），才能更好地去识别和缓解威胁，避免差错。而这样的心态和思维必须建立在执行和理解 SOP 的基础上，甚至需要去超越 SOP。所以希望本文能为各位业内同行更好地理解 SOP 和不正常程序设计提供一定地帮助，同时抛砖引玉，也期待能够看到中文圈更多有价值有深度的业内文章。